فقدان CryptoPunk بسبب عيب في العقد الذكي هو النوع من الأشياء التي تُبقي حاملي NFT مستيقظين ليلاً. لكن استعادته، من ناحية أخرى، هو النوع من الأشياء التي تكاد لا تحدث أبداً.
نفذت يوجا لابس عملية من نوع "القبعة البيضاء" في 8 يونيو، واستعادت 68 NFT بقيمة تزيد عن 500,000 دولار من بروتوكول Flooring بعد أن كشف خطأ محاسبي عن مجموعات السيولة الخاصة بالمنصة للاستغلال. من بين الأصول المنقذة: اثنان من CryptoPunks، و29 Bored Apes، وأربعة Mutant Apes.
ما الذي حدث بالضبط؟
كان هناك عيب مخفي في منطق المحاسبة والتحقق من الملكية في بروتوكول Flooring، وهو منصة تقسيم NFT. اكتشف المهاجم أن هذا الخطأ سمح له بإنشاء رصيد شبه لانهائي من fpToken، وهو الرمز الداخلي للبروتوكول المستخدم لتمثيل الملكية الجزئية لـ NFT.
سمح الاستغلال بتصريف كميات صغيرة من WETH من الحسابات، وهو تسرب بطيء كان يمكن أن يفرغ البروتوكول من أصوله ذات القيمة الأعلى. وتولى مهندس Flooring Protocol، المعروف باسم 0xFreeLunch، المسؤولية عن هذه الثغرة.
تدخلت Yuga Labs قبل أن ينتشر الضرر أكثر. وقد نشرت الشركة عقدًا دفاعيًا عكس بدقة آليات الاستغلال، مستخدمة نفس الثغرة لنقل NFTs الرائدة إلى مكان آمن قبل أن يتمكن المهاجمون من المطالبة بها.
عملية الإنقاذ، خطوة بخطوة
نسخ العقد الدفاعي لشركة Yuga طريقة المهاجم، وأصدر fpTokens من خلال منطق المحاسبة المعطوب، واستخدمها لاستخراج NFTs ذات قيمة عالية من الصناديق المكشوفة. سحبت العملية ما مجموعه 68 NFT عبر مجموعات متعددة.
شكلت اثنان من CryptoPunks و29 من NFTs لـ Bored Ape Yacht Club وأربعة من NFTs لـ Mutant Ape Yacht Club الجزء الأكثر قيمة من الممتلكات. وشملت الأصول المتبقية مجموعات أخرى مودعة في حسابات التجزئة الخاصة ببروتوكول Flooring.
جميع NFTs المستردة محفوظة حاليًا تحت إدارة Yuga Labs. وقد أعلنت الشركة أنها ستُعاد إلى أصحابها الشرعيين بمجرد إصلاح ثغرة البروتوكول.
لماذا يهم هذا أبعد من بروتوكول واحد
استغلال بروتوكول Flooring يثير أسئلة حول نضج البنية التحتية DeFi المركزة على NFT. تعتبر أخطاء المحاسبة، ولا سيما الأخطاء في كيفية تتبع البروتوكولات لملكية الرموز وسلطة إصدارها، من بين أكثر فئات الثغرات في العقود الذكية أساسية. هذه هي أنواع المشكلات التي صُممت المراجعات الشاملة لكشفها قبل النشر.
بالنسبة ليوجا لابس، كان الرد سريعًا وحاسمًا بشكل ملحوظ. لدى الشركة مصلحة مالية وسمعة مباشرة في حماية حاملي CryptoPunks وBored Ape، بعد أن اشترت حقوق الملكية الفكرية لـ CryptoPunks من Larva Labs في عام 2022.